JWTデコーダー

JWT のデコード方法

1. トークン（ドットで区切られた3つの Base64URL）を入力欄に貼り付けます。
2. デコードされたヘッダーとペイロードを確認します。時刻はお使いのタイムゾーンの日時で表示されます。
3. 状態（期限切れ・有効・まだ有効でない）を確認します。
4. HS256/HS384/HS512 の署名はシークレットを入力して「検証」を押します。

JWT の構造と標準クレーム

よくある質問

Q. ここに JWT を貼り付けても安全ですか？

デコードと検証はブラウザ内だけで行われ、当サイトのサーバーには何も送信されません。ただし本番のトークンはパスワードと同じく扱ってください。有効なトークンを持つ人は期限まで使えてしまいます。

Q. JWT は暗号化されていますか？

いいえ。一般的な JWT（JWS）は Base64URL でエンコードして署名しているだけなので、誰でもペイロードを読めます。パスワードや秘密情報は入れないでください。署名は改ざんされていないことを証明するだけです。

Q. RS256 や ES256 のトークンを検証できないのはなぜですか？

これらは共有シークレットではなく発行者の公開鍵で検証します。このツールは入力したシークレットで HMAC 方式（HS256・HS384・HS512）を検証します。

Q. exp・iat・nbf とは何ですか？

秒単位の Unix 時刻です。exp は有効期限、iat は発行時刻、nbf はそれより前には受け付けてはいけない時刻を表します。